Бұл шектеудің не үшін қажет екені анықталды.
Азаматтардың дербес деректерін қорғау ісі жаңа деңгейге көтерілуде. Енді цифрлық құжатты өзге біреуге тек уақытша QR-код немесе қысқа код арқылы ғана көрсетуге болады. Басты өзгеріс – оның жарамдылық мерзімі небәрі бір минутпен шектеледі. Осы уақыт өткеннен кейін код жарамсыз болып қалады.
Жаңа "Цифрлық құжаттар сервисінде электрондық құжаттарды көрсету және пайдалану қағидалары" Премьер-министрдің орынбасары–Жасанды интеллект және цифрлық даму министрі Жаслан Мәдиевтің 2026 жылғы 28 шілдедегі №439/НҚ бұйрығымен бекітілді.
Құжат ресми түрде 2026 жылғы 14 тамыздан бастап күшіне енді. Ол Қазақстанда 2020 жылдан бері қолданыста болған ескі қағидаларды алмастырды.
Жаңа талап үйреншікті цифрлық үрдісті өзгертеді
Бір қарағанда, бұл жаңашылдық қарапайым техникалық шектеу сияқты көрінуі мүмкін: азаматтарға банк қызметкеріне, қызмет көрсетушіге немесе басқа бизнес өкіліне кодты бұрынғыға қарағанда жылдамырақ көрсетуге тиіс болады. Сол ғана ма?
Шынында, осы бір минуттың артында ақпараттық қауіпсіздіктің өте нақты логикасы тұр. Мемлекет көшіріліп алынған, суретке түсірілген немесе кездейсоқ жарияланған осы идентификатордың цифрлық құжатқа қол жеткізу үшін пайдаланылу уақытын қатты қысқартуда.
Жаңа қағидалар әрекеттердің нақты алгоритмін бекітеді:
пайдаланушы eGov mobile мобильді қосымшасы немесе мобильді банкинг арқылы сәйкестендіруден (идентификациядан) өтеді.
қажетті электрондық құжатты таңдайды, содан кейін оның сұранысы бойынша сервис уақытша қолжетімділік үшін QR-код немесе қысқа алты таңбалы код (иесіне SMS арқылы жіберіледі) түзеді.
осыдан кейін жүйе деректерді өзара салыстырып тексереді. Егер уақытша қол жеткізу мерзімі аяқталса немесе қандай да бір сәйкессіздік тіркелсе, қолжетімділік автоматты түрде бұғатталады.
Үшінші тарап құжатты тек иесінің келісімімен ғана алады:
"Үшінші тұлғалардың электрондық құжатқа қол жеткізуі сервис арқылы берілген пайдаланушының келісімі негізінде жүзеге асырылады. Электрондық құжатты үшінші тұлғаға ұсыну мақсатында сервис пайдаланушының сұрау салуы бойынша уақытша қол жеткізуге арналған QR-кодты немесе қысқа кодты қалыптастырады. QR-кодтың немесе қысқа кодтың қолданылу мерзімі бір минуттан аспайды", – деп хабарлады Жасанды интеллект министрлігі.
Дәл осы соңғы ереже – басты өзгеріс. Бұрын QR-кодтың қолданыс мерзімі бір минутпен шектелмегендіктен, банк қосымшаларында ол шамамен 20 минут және тіпті одан да ұзақ көрініп тұруы мүмкін еді.
Егер белсенді идентификатор экранда ондаған минут бойы сақталса, осы мерзімде алаяқтар микроқаржы ұйымдарына сұрау жасап, онлайн-несие рәсімдеп үлгереді немесе маркетплейстерде жасырын транзакциялар жасайтын.
Бір минуттық таймерді енгізу уақытша токенді небәрі 60 секундтан кейін мәнсіз етеді. Осы арқылы мемлекет қайталанатын шабуылдардың (replay-attack) алдын алады және қарапайым адамдардың ұмытшақтығының салдарын барынша азайтады.
Минуттық QR-код – қайталама шабуылдардан және әлеуметтік инженериядан қорған
Бұл жүйедегі QR-код цифрлық жеке куәліктің өзі емес екенін түсіну маңызды. Бұл – тек цифрлық құжатқа апаратын уақытша "рұқсатнама құжаты". Сондықтан оның қауіпсіздігі тек көшірме жасаудан қорғалғанымен ғана емес, сонымен қатар қанша уақыт бойы жарамды болып қалатынымен де анықталады.
Ұзақ код алаяқтарға әрекет ету үшін тым көп мүмкіндік беретін. Қарапайым мысал: адам банкке келіп, цифрлық куәлігін көрсетеді. Телефон экранында QR-код пайда болады. Егер алаяқ жақын жерде тұрса, экранды байқатпай суретке түсіріп алуы ықтимал. Әлгі код ары қарай ондаған минут бойы күшінде болса, онда қаскөйдің түсірген суреті де қолданысқа жарайды.
Скриншоттардан да қауіп жетерлік. Мысалы, жұмысқа орналасқанда, баспана жалдағанда немесе көрсетілетін қызметті рәсімдегенде адамнан "жеке басыңызды растау үшін қажет" деген сылтауымен QR-кодты жіберуді сұрауы мүмкін. Егер код ұзақ уақыт бойы әрекет етсе, скриншот алаяқтардың қолына түсіп кетуі де ғажап емес.
Әлеуметтік инженерия сценарийінен де көптеген қауіп төнеді. Алаяқтар өзін банктің, құқық қорғау органдарының немесе мемлекеттік мекеменің қызметкерімін деп таныстырып, адамды "қауіпсіздікті тексеру", "алаяқтық операцияның алдын алу" немесе басқа да ойдан шығарылған рәсімдер үшін цифрлық құжатты ашып көрсетуге көндіруі мүмкін. Ары қарай асықпай, цифрлық құжатты қарау ниетіне пайдалана береді. Бір минуттық шектеу алаяқтықты толығымен жоймаса да, олардың әрекет ету аясын айтарлықтай тарылтады.
Киберқауіпсіздікте бұл мәселе replay attack (қайталама шабуыл) деп аталады. Оның мәні мынада: заңды түрде алынған деректер қызмет көрсетілгеннен кейін жойылмай, сақталады.
Мысалы, банктің алақол қызметкері оны ары қарай қаскүнем жандарға тапсыруы немесе QR-кодты пайдаланып, ол адам туралы құпия ақпараттарды жинауы ықтимал.
Егер бастапқы QR-кодты құжат иесінің өзі сұрау салып алғызған болса, идентификатор жарамды болып тұрғанша, жүйе кейінгі заңсыз сұрауларды бастапқы заңды әрекеттен ажырата алмауы мүмкін.
Қысқа кодқа қатысты да тәуекел бар. Ол телефон нөмірімен және басқа механизмдермен қорғалады, бірақ ұзақ жарамдылық мерзімі оны да теріс мақсатта пайдалану қаупін арттырады. 1 минут ондай қателіктердің салдарын едәуір төмендетеді. Егер қолданушы кодты кездейсоқ басқа адамға көрсетіп қойса немесе жаңылысып, басқа чатқа жіберсе, оны теріс пайдалану мүмкіндігі небәрі бір минутқа ғана созылады.
Жаңа тәсіл адами факторға байланысты тәуекелдерді де азайтады. Пайдаланушы банк қосымшасын жабуды ұмытып кетуі, құжатты экранда ашық қалдыруы немесе QR-кодтың көрсетіліп тұрғанын байқамай қалуы мүмкін. Енді жүйенің өзі оның ұзақтығын шектеп, автоматты түрде жауып тастауға тиіс.
Бұл ретте заң тұрғысынан цифрлық құжаттар "екінші сорттағы" құжатқа айналып кетпейді. Олар қағаз түпнұсқалармен тең дәрежеде. Бұл 2026 жылғы 1 шілдеден бастап қолданысқа енгізілген Цифрлық кодекстің 62-бабының 2-тармағында бекітілген.
Әйтсе де, тек мемлекет қабылдап жатқан шаралармен шектелмей, әрбір азамат қауіпсіздікті сақтауы шарт. Егер жеке куәлікті көрсету қажет болса, оны ашатын QR-кодты дәл операцияның алдында ғана жасап, оны тек нақты адамына ғана көрсету қажет.
Кодты алдын ала жіберуге, скриншот түрінде сақтауға немесе кім екенін тексеру мүмкін емес бөгде тұлғаларға беруге болмайды. Егер әлдекім телефон арқылы немесе мессенджерде "қауіпсіздікті тексеру үшін QR-код жасауды" талап етсе, бұдан күдіктенген жөн.
Бір минуттық шектеуді енгізгенде, Үкімет азаматтардың өмірін қиындатуды ойлап отырған жоқ. Бұл алаяқтардың пайдалануының алдын алудың және адами қателіктің салдарын азайтудың жолы.
Қазақстандықтар күнделікті өмірде нағыз жеке куәліктің орнына оның цифрлық баламасын көбірек қолдана бастады. Сондықтан оған қол жеткізу тетігі де заманауи қауіпсіздік талаптарына толық сай болуға тиіс.
Дерек көзі: https://inbusiness.kz
